Niebezpiecznik

Sieć Tor to nie tylko siedlisko przestępców, jak najczęściej przedstawiają to mainstreamowe media. To także ostoja wolności słowa, opozycji wobec władzy i anonimowości. Każdy może umieścić w Torze swój własny serwer ze stroną WWW, zyskując tym samym odporność na cenzurę i zapewniając ochronę tożsamości osób ją odwiedzających. Wbrew pozorom zadanie nie jest szczególnie trudne — poniżej pokażemy, jak krok po kroku skonfigurować swój własny serwer w sieci Tor za pomocą usług oferowanych przez firmę Aruba Cloud.

Aby uruchomić swoją stronę w sieci Tor użyjemy webserwera Apache2 wraz z interpreterem PHP. Najpierw skonfigurujemy nasz serwer w taki sposób, aby namierzenie jego prawdziwego adresu IP było jak najbardziej utrudnione. Potem podłączymy serwer do sieci Tor i sprawdzimy naszą przykładową stronę. Wszystkiego dokonamy w 7 krokach:

• wykonamy aktualizację systemu,
• dostosujemy parametry kernela – sysctl,
• zainstalujemy i skonfigurujemy firewall – ufw,
• zainstalujemy i skonfigurujemy usługę Apache2,
• zainstalujemy interpreter php,
• utworzymy katalog /var/www/aruba_tor_service/ wraz z przykładowym plikiem – index.php, który będzie widoczny w sieci Tor,
• podłączymy serwer do sieci Tor.

Zaczynamy!

Po założeniu konta na platformie ArubaCloud, jako szablon maszyny wybieramy system operacyjny Debian 8 64 bit. Na początku warto upewnić się czy posiadamy najnowszą wersję systemu Debian. Aktualną wersję można sprawdzić wykonując polecenie:
# cat /etc/debian_version
8.3
Jeśli nie posiadamy najnowszej dostępnej wersji – warto zaktualizować system za pomocą poniższych poleceń:

# apt-get update
# apt-get upgrade

Po pobraniu i zainstalowaniu nowych pakietów, jeśli to konieczne, restartujemy serwer poleceniem:
# reboot

Zmiana parametrów kernela

Ustawiamy odpowiednie parametry w /etc/sysctl.conf:
# vim /etc/sysctl.conf
Usuwamy znak komentarza (#) zawierające linie:
net.ipv4.conf.default.rp_filter=1 # włączamy ochronę przed ip spoofingiem
net.ipv4.conf.all.rp_filter=1
net.ipv4.tcp_syncookies=1 # włączamy mechanizm pozwalający na obronę przed atakami SYN flood
net.ipv4.conf.all.send_redirects = 0 #wyłączamy przekierowywanie pakietów ICMP,
net.ipv4.conf.all.accept_source_route = 0
Jeśli nie chcemy obsługiwać protokołu IPv6 na końcu pliku sysctl.conf dodajemy:
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1
net.ipv6.conf.eth0.disable_ipv6 = 1

Wprowadzamy zmiany w życie:
# sysctl -p

Konfiguracja firewalla

Aby zminimalizować wykrycie prawdziwego adresu IP na jakim działać będzie nasza usługa w sieci Tor, warto ograniczyć dostępność serwera z adresów zewnętrznych. Dla bezpieczeństwa na serwerze powinny być zaimplementowane reguły firewall – w dystrybucji Linux Debian dostępny jest Uncomplicated FireWall. Jest to nakładka na iptables do łatwiejszego zarządzania firewallem.

W poniższej konfiguracji zezwalamy wyłącznie na ruch przychodzący na port tcp/22 dla usługi SSH. Reszta usług z zewnątrz powinna być niedostępna. Warto zwrócić uwagę, że nie otwieramy także ruchu TCP/80 dla serwera WWW.
# apt-get install ufw
# ufw allow ssh
# ufw default deny incoming
# ufw default allow outgoing
# ufw enable # aktywujemy reguły firewalla
# ufw status # sprawdzamy czy firewall jest aktywny

Instalujemy i konfigurujemy serwer WWW

Ponieważ w sieci Tor chcemy udostępnić usługę WWW, potrzebny nam będzie serwer Apache2. Zainstalujemy więc pakiet apache2, który jest dostępny w standardowym repozytorium Linux Debian:

# apt-get install apache2

Jeśli chcemy aby nasz serwer WWW obsługiwał pliki PHP, powinniśmy zainstalować interpreter PHP:

# apt-get install php5 libapache2-mod-php5 php5-gd php5-mcrypt

Jeśli potrzebujecie dodatkowych modułów do PHP, warto zapoznać się z zawartością repozytorium wydając polecenie:

# apt-cache search php5-

Przed uruchomieniem Apache2 warto zadbać o jego odpowiedni poziom bezpieczeństwa. Na wstępie przekonfigurujemy usługę tak, aby nie wyświetlała ona numeru wersji. Na początku wyedytujemy plik security.conf, który znajduje się w katalogu /etc/apache2/conf-enabled/:

# nano /etc/apache2/conf-enabled/security.conf

W linii 26, zmieniamy dyrektywę ServerTokens na wartość Prod:

ServerTokens Prod

Zmiana ta spowoduje, że usługa nie będzie wysyłała w nagłówkach informacji pełnych o używanej wersji oprogramowania Apache, np:

Server: Apache/2.4.25 (Unix) -> Server: Apache

Następnie w linii 36, w dyrektywie ServerSignature usuwamy znak komentarza (#)

ServerSignature Off

oraz komentujemy linię 37 dodając znak # na poczatku linii:

#ServerSinature On

Na samym końcu pliku security.conf dodajemy:

FileETag None

W kolejnym kroku będziemy edytować plik apache2.conf, który znajduje się w katalogu /etc/apache2/

# emacs /etc/apache2/apache2.conf
W linii 165 dodajemy znak “-” przy słowie Indexes. Zmiana ta spowoduje, że nie będziemy wyświetlali zawartości katalogów jeśli w katalogu nie znajduje się plik ‘index.php’ czy ‘index.html’.

Następnie musimy określić w którym katalogu na serwerze będzie znajdować się strona internetowa. W ramach tego artykułu utworzymy przykładowy katalog – /var/www/aruba_tor_service/:

# mkdir /var/www/aruba_tor_service/

Tworzmy prosty skrypt PHP, którego zadaniem będzie wyświetlenie nam komunikatu “Server TEST”

# echo "<?php echo('Server TEST') ?>" > /var/www/aruba_tor_service/index.php

Plik index.php został zapisany do katalogu /var/www/aruba_tor_service/.

Gdy wybraliśmy już odpowiedni katalog oraz utworzyliśmy prosty skrypt php, możemy przejść do utworzenia konfiguracji Apache2 dla strony dostepnej w sieci Tor. Kopiujemy domyślną konfigurację 000-default.conf jako 001-aruba-tor.conf

# cp /etc/apache2/sites-available/000-default.conf /etc/apache2/sites-available/001-aruba-tor.conf

a następnie edytujemy skopiowany plik:

# nano /etc/apache2/sites-available/001-aruba-tor.conf

W pliku tym zmieniamy dyrektywę DocumentRoot z /var/www na katalog, gdzie znajduje się nasz przykładowy plik index.php

DocumentRoot /var/www/aruba_tor_service/

oraz definiujemy katalog w którym będą zapisywane żądania do serwera WWW (logi będą zapisywane w katalogu /var/log/apache2/tor/):

ErrorLog ${APACHE_LOG_DIR}/tor/error.log
CustomLog ${APACHE_LOG_DIR}/tor/access.log combined

Następnie tworzymy katalog, w który będą znajdywały się logi z usługi WWW:

# mkdir /var/log/apache2/tor/

W tym katalogu zostaną utworzone dwa pliki: access.log oraz error.log.
Dezaktywujemy domyślną konfigurację w Apache2:

# a2dissite 000-default

oraz aktywujemy konfigurację dla strony WWW w sieci Tor:
# a2ensite 001-aruba-tor.conf

Dla bezpieczeństwa dezaktywujemy też moduł mod_status:
# ap2dismod status

W pliku /etc/apache2/ports.conf ustawiamy adres IP oraz port na którym będzie nasłuchiwała usługa WWW. Usługa nie będzie dostępna bezpośrednio, a jedynie za pomocą sieci Tor, dlatego wskazujemy adres lokalny:

# nano /etc/apache2/ports.conf
Listen 127.0.0.1:80

Celem wprowadzenia zmian restartujemy usługę Apache2:

# /etc/init.d/apache2 restart

Na chwilę obecną jeszcze nie możemy wywołać naszej strony przez Tora. Aby udostępnić naszą stronę w sieci TOR, musimy podłączyć serwer do sieci Tor.

Podłączamy serwer do sieci Tor

Aby spełnić to wymaganie instalujemy pakiet tor:

# apt-get install tor

Następnie edytujemy plik konfiguracyjny /etc/tor/torrc:

# vim /etc/tor/torrc

Definiujemy naszą usługę:

HiddenServiceDir /var/lib/tor/aruba_hidden_service/
HiddenServicePort 80 127.0.0.1:80

Wskazujemy adres 127.0.0.1:80 – jest to adres lokalny, który wskazaliśmy w pliku /etc/apache2/ports.conf. Kończąc edycję pliku usuwamy znak komentarza z linii 178:

ExitPolicy reject *:*

Restartujemy usługę Tor

# /etc/init.d/tor restart

Po nawiązaniu połączenia z siecią Tor zostanie utworzony plik /var/lib/tor/aruba_tor_service/hostname. W pliku tym zostanie wygenerowana domena w sieci Tor:

# cat /var/lib/tor/aruba_tor_service/hostname
ymrcdjxykr2ublbc.onion

Jeśli interesuje was jak zbudowany jest adres w domenie .onion, zajrzyjcie tu. A jeśli chcielibyście wygenerować sobie bardziej “sensowną” domenę onion, to możecie skorzystać z narzędzia Eschalot lub scallion.

Jeśli zajrzymy pod wygenerowany adres http://ymrcdjxykr2ublbc.onion w sieci Tor to odpowie nam nasz serwer, wyświetlając plik index.php.

Brawo, właśnie uruchmiłeś swoją stronę w sieci Tor! Pochwal się teraz w komentarzach jej adresem :)

PS. Niniejszy artykuł jest artykułem sponsorowanym, za który redakcja Niebezpiecznik.pl otrzymuje wynagrodzenie. Staramy się, aby publikowaNe na Niebezpieczniku reklamy były przydatne i kształcące. Jeśli chcielibyście przeczytać porady na inne tematy (nie tylko związane z siecią Tor), dajcie znać w komentarzach, postaramy się aby kolejne teksty poruszyły wskazane przez Was zagadnienia.

Przeczytaj także:

• * Nowy “atak” na sieć Tor
• Jak Hacking Team we współpracy z policją namówił operatora na wrogie przejęcie 256 adresów IP
• [AKTUALIZACJA] Dropbox ma dostęp do wszystkich twoich plików i wykonuje na nich podejrzane operacje